iptables (нужно просветление ))

[xar0h]

Есть шлюз
ppp0 (использует eth0) - внешний
eth1 - внутренний
ip_forward врублен,

Код: Выделить всё

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

, все стандартно, все работает, пинги идут.
Цель - оставить выход в интернет на несколько определенных адресов - остальное - под нож.
Как я это вижу.

Код: Выделить всё

iptables -P FORWARD DROP

для начала (пинги теперь идут только со шлюза, с пк, подключенного к нему, - нет),
потом - делаем разрешения в FORWARD.
Собственно, что делаю

Код: Выделить всё

iptables -A FORWARD -s blahblahblah -j ACCEPT

но ничего не меняется, на блаблаблу пинг с пк, подключенного к шлюзу не идет.
Где я ошибся?

[Bizdelnick]

Во-первых, Вам надо не -s, а -d. Во-вторых, не забыли про iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT?

[Ленивая Бестолочь]

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
есть?

upd: кажется я опоздал. оставлю свой вариант, ибо он немного другой.

[drBatty]

iptables -A FORWARD -s blahblahblah -j ACCEPT

но ничего не меняется, на блаблаблу пинг с пк, подключенного к шлюзу не идет.

тут уже сказали, что --destination нужно, раз вы хотите НА блаблаблу отправлять. И да, отправить это половина дела, нужно ещё и ответ принять, для этого уже выше указали строчку

Код: Выделить всё

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

(точнее ИМХО тут conntrack надо юзать, но именно FORWARD).

[Bizdelnick]

Соглашусь с предыдущими ораторами, сейчас считается кошерным использовать не iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT, а iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT. Хотя оба варианта работоспособны.

[xar0h]

2 Bizdelnick
Ну, в моём случае нужен только первый вариант, ибо FORWARD.
И да, не -s а -d.
Спасибо, теперь всё работает так, как задумано.

[Bizdelnick]

Ну, в моём случае нужен только первый вариант, ибо FORWARD.

Прошу прощения, ошибочка закралась. Там в обоих вариантах должен быть FORWARD (исправил).

[drBatty]

Хотя оба варианта работоспособны.

у меня почему-то вариант со state не работает. А с conntrack работает.